#rsETHAttackUpdate

La explotación rsETH que ocurrió el 18 de abril de 2026, fue el mayor incidente de seguridad en la industria de las criptomonedas este año, con aproximadamente $293,7 millones fluyendo desde el protocolo de restaking líquido KelpDAO. Este ataque aprovechó vulnerabilidades en el contrato puente del protocolo, creando un efecto en cadena que se propagó a varias plataformas DeFi y reveló riesgos sistémicos críticos en la infraestructura intercadena.
La metodología de este ataque es avanzada pero sigue patrones familiares que se han visto en explotaciones anteriores de puentes. Los atacantes aprovecharon un puente comprometido para generar tokens rsETH sin respaldo, que luego fueron depositados como garantía en varios protocolos de préstamo principales, incluyendo Aave V3, Compound V3 y Euler. Con estos activos ilegales, los atacantes tomaron prestado una gran cantidad de WETH y wstETH, creando más de $236 millones en deuda incobrable. Los fondos robados se dividieron entre la red principal de Ethereum y Arbitrum, con $E0@ millones y $E0@ millones respectivamente, demostrando la naturaleza intercadena de esta explotación.
Aave surgió como el protocolo más afectado, con aproximadamente $221,39 millones en garantías de rsETH contaminadas utilizadas para tomar prestado alrededor de $190,86 millones en WETH y $2,33 millones en wstETH en ambas instancias de Ethereum y Arbitrum. El proveedor del protocolo publicó un informe de incidente que describe dos escenarios de deuda incobrable que oscilan entre $123,7 millones y $230,1 millones, impulsando medidas de mitigación de riesgos inmediatas, incluyendo el congelamiento del mercado de rsETH en Aave V3 y V4. Estas acciones evitaron depósitos adicionales pero dejaron abiertas las posiciones existentes, provocando que los usuarios retiraran activos por valor de $10,1 mil millones del protocolo mientras los depositantes se apresuraban a retirar sus fondos.
La propagación se extendió más allá de Aave a al menos nueve otros protocolos. Fluid confirmó que detuvo todos los mercados con potencial exposición a rsETH, mientras que su socio de seguridad Compound presentó cuatro propuestas de gobernanza para ajustar los parámetros de riesgo en Comet afectados. SparkLend congeló su exposición, y Euler tomó medidas para controlar la propagación del riesgo. Este impacto interprotocol resalta vulnerabilidades fundamentales en la arquitectura de DeFi, donde los activos profundamente integrados en préstamos, bóvedas y protocolos de liquidez pueden transmitir fallas instantáneamente.
La respuesta de KelpDAO implicó detener contratos directamente en la red principal y en varias redes layer-2 tras identificar actividades sospechosas de intercadena. El equipo anunció una asociación con LayerZero, Unichain, sus auditores y expertos en seguridad para realizar un análisis de causa raíz. Sin embargo, la comunicación entre KelpDAO y los protocolos afectados parece haber sido tensa, con informes que indican que LayerZero aún no ha emitido recomendaciones específicas para modificar la configuración de rsETH DVN, a pesar de que desde julio de 2024 hay canales de comunicación abiertos.
Este incidente plantea serias preguntas sobre la seguridad de los puentes en el ecosistema de restaking. Como señaló el experto en seguridad Cyvers, la capacidad de crear activos sintéticos sin respaldo a través de un puente comprometido y luego usarlos para tomar prestados activos reales demuestra cómo estas explotaciones evolucionan rápidamente. Este ataque muestra que la distribución de activos en varias cadenas no distribuye proporcionalmente el riesgo, y que el diseño de los puentes se ha convertido en un componente inseparable del perfil de riesgo de los activos en DeFi.
Los observadores de la industria notan una similitud con la explotación previa de Drift Protocol por un valor de $178 millones, que ahora ha sido superada por este ataque. El patrón de usar garantías comprometidas para crear deudas incobrables en varias plataformas indica que el marco actual de gestión de riesgos puede no ser suficiente para la complejidad moderna de DeFi intercadena. Se espera que la comunidad de Aave discuta si rsETH debe eliminarse permanentemente de todos los mercados, siguiendo el patrón que surgió tras incidentes anteriores de deuda incobrable.
El impacto posterior al incidente continúa desarrollándose a medida que los protocolos evalúan su exposición y aplican medidas correctivas. Este evento sirve como un recordatorio contundente de que en el panorama DeFi interconectado, la seguridad solo es tan fuerte como el eslabón más débil en la cadena de los protocolos integrados. Mientras la industria lidia con las implicaciones de esta explotación, el enfoque se traslada al desarrollo de marcos de evaluación de riesgos intercadena más robustos y a mejorar la coordinación entre protocolos cuando se detectan vulnerabilidades.